A Bitcoin-hardvertárca lényege, hogy a hozzáférést adó titok ne kerüljön egy internetre kötött gépre. A Coldcard esetében azonban nem a tárolás, hanem a titok megszületése romlott el. A gyártó részletes biztonsági közleménye szerint több firmware-verzió egy szoftveres véletlenszám-generátorra eshetett vissza, amikor új seedet hozott létre. Az így előállított kulcsok keresési tere annyira beszűkült, hogy megfelelő erőforrással végig lehetett próbálni.
A történet nem maradt elméleti sebezhetőség. A TechSpot által idézett Galaxy Research az első nagyobb söprésnél 1082,65 BTC mozgását kötötte ugyanahhoz a mintához, később pedig 1367,05 BTC-re, akkori árfolyamon nagyjából 88,6 millió dollárra emelte a megfigyelt összeget. Ez nem ugyanaz, mint annak bizonyítása, hogy minden egyes érme lopásból származik: egy tulajdonos menekítő tranzakciója a blokkláncon hasonlóan nézhet ki. Az ismert felhasználói veszteségek és az összehangolt címürítések miatt azonban a támadást már nem lehet puszta laboratóriumi kockázatként kezelni.
Nem a készüléket törték fel
A hiba 2021-ben került a firmware-be, amikor a seedgenerálás egy új kriptográfiai könyvtárra állt át. A kód a hardveres véletlenszám-generátort akarta használni, de egy hibás fordítási feltétel miatt másik függvényt hívhatott meg. A név alapján ez még mindig biztonságos hardveres forrásnak tűnt, valójában viszont a MicroPython Yasmarang nevű, nem kriptográfiai célra szánt álvéletlen-generátora futott.
Ez azért különösen kellemetlen, mert a támadónak nem kellett ellopnia vagy megfertőznie a fizikai Coldcardot. Elég volt lehetséges seedeket gyártania, majd a hozzájuk tartozó nyilvános Bitcoin-címeket összevetnie a blokklánccal. A nyilvános cím vagy xpub visszajelzést ad arról, hogy jó jelöltet talált-e. A Block mérnökeinek elemzése szerint az Mk2 és Mk3 sérülékeny útvonalán nem maradt kriptográfiai entrópia, az újabb modellek esetében pedig csak egy szűk, 32 bites biztonsági elemből származó újrakeverés nehezítette a keresést.
A firmware-frissítés önmagában nem javítja meg a seedet
Ez a legfontosabb gyakorlati rész. A javított firmware megakadályozza, hogy a készülék ugyanígy hozzon létre új seedet, de a korábban generált kulcs nem lesz ettől véletlenebb. A Coinkite kifejezetten új seed létrehozását és a teljes egyenleg átköltöztetését kéri. A kockázatot az a firmware határozza meg, amely a seed készítésekor futott, nem az, mikor gyártották vagy vásárolták a készüléket.
- Mk2 és Mk3: a 4.0.1–4.1.9 közötti firmware-rel készült seed érintett lehet; a javított ág 4.2.0-tól indul.
- Mk4 és Mk5: legalább 5.6.0-s firmware szükséges.
- Coldcard Q: legalább 1.5.0Q szükséges.
- Edge: a javított kiadás 6.6.0X, illetve 6.6.0QX.
- TAPSIGNER, OPENDIME és SATSCARD: a gyártó szerint nem érintett.
Aki legalább ötven valóban független dobókockadobással adott saját entrópiát az eredeti seedhez, arra a gyártó szerint nem vonatkozik ugyanez a veszély. Egy erős, egyedi BIP-39 jelszó szintén komoly akadályt jelenthet a támadónak. Ettől még maga a gyenge seed nem válik jóvá, ezért a Coinkite ezeknél az eseteknél sem kezeli a firmware-frissítést teljes javításként.
Hogyan maradhatott ez bent öt évig?
A sebezhetőség nem egy bonyolult kriptográfiai törésből született, hanem két megtévesztően hasonló függvénynévből és egy fordítási makró hibájából. A gyártó korábbi tesztjei azt ellenőrizték, hogy a kimenet változik-e, nem pedig azt, hogy pontosan melyik forrásból érkezik a véletlen. Egy álvéletlen-generátor ezen a teszten gond nélkül átmegy: minden indításnál másnak látszó értéket adhat, miközben a lehetőségek száma továbbra is veszélyesen kicsi.
A Coinkite előzetes becslése az Mk2 és Mk3 esetében körülbelül 40 bites, az Mk4, Q és Mk5 esetében nagyjából 72 bites effektív keresési térről beszél. A Block technikai modellje ennél szigorúbb képet fest az újabb eszközök 32 bites újrakeverése miatt. A számok különböznek, de a következtetésük azonos: ez messze van attól a biztonsági tartaléktól, amelyet egy Bitcoin-seedtől várunk.
A papírra írt vagy acéllemezbe ütött biztonsági másolat sem jelent kiutat, ha ugyanazt a sérülékenyen létrehozott seedet őrzi. Egy új készülékre visszaállítva pontosan ugyanazok a kulcsok és címek jönnek létre, amelyeket a támadó is kereshet. A helyes költöztetés ezért nem egyszerű helyreállítás: javított firmware-rel teljesen új seedet kell készíteni, ellenőrizni az új fogadó címet, majd a régi tárcából átküldeni rá az összeget. Multisig esetén a helyzet árnyaltabb, mert egyetlen kiszivárgott kulcs önmagában nem feltétlenül elég a költéshez. Ettől még az érintett Coldcarddal létrehozott kulcsot ott is cserélni kell, különösen akkor, ha ugyanazt a seedet más tárcákban vagy több összeállításban is újrahasználták.
A gyártó azt is felvetette, hogy valaki mesterséges intelligenciával nézhette át a régebbi firmware-t, de erre nincs bizonyíték; ezt a Coinkite feltételezésként írja le. Az biztosabb tanulság kevésbé látványos: egy hardvertárca akkor is elbukhat, ha fizikailag soha nem kerül támadó kezébe. Ha a seed kiszámítható, a széf csak egy olyan eszközt őriz, amelynek a kulcsát valaki máshol már újra elő tudja állítani.
